Google

หน่วยงานคุ้มครองข้อมูลของไอร์แลนด์ (DPC) สั่งปรับ Google เป็นเงิน 403 ล้านยูโร ฐานละเมิดกฎหมาย GDPR ในการจัดการข้อมูลตำแหน่งที่ตั้งของผู้ใช้ผ่าน 3 ฟีเจอร์ระหว่างปี 2018-2020 คือ Web & App Activity, Location History และ Location Accuracy DPC พบว่า Google ละเมิดหลักการประมวลผลที่ชอบด้วยกฎหมายและโปร่งใส และเก็บข้อมูลนานเกินจำเป็น นับเป็นค่าปรับที่ใหญ่เป็นอันดับ 4 ที่ DPC เคยออก โดย Google มีสิทธิ์อุทธรณ์ต่อศาลสูงภายใน 28 วัน

บริษัท Google ออกแพตช์เดือนกันยายน 2569 แก้ช่องโหว่ยกระดับสิทธิ์ในโมเด็มมือถือของ Pixel รหัส CVE-2026-58704 คะแนน CVSS 8.0 พร้อมระบุว่าพบสัญญาณการโจมตีแบบจำกัดวงและเจาะจงเป้าหมาย ช่องโหว่เกิดจากข้อผิดพลาดเชิงตรรกะที่ทำให้ข้ามการตรวจสิทธิ์ได้จากระยะประชิดโดยไม่ต้องให้เหยื่อกดอะไรเลย (zero-click) ต่อมา CISA เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV เมื่อ 16 กันยายน สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 19 กันยายน ผู้ใช้ควรอัปเดตให้ถึงระดับแพตช์ 5 กันยายน 2569 หรือใหม่กว่า

Google ออกอัปเดต Chrome เมื่อวันอังคารที่ 8 กันยายน 2569 แก้ช่องโหว่ 230 รายการ รวมถึง CVE-2026-87491 ซึ่งเป็นบั๊กเขียนข้อมูลนอกขอบเขตในเอนจิน V8 ที่ถูกใช้โจมตีจริงแล้ว คำอธิบายใน NVD ระบุว่าหน้าเว็บที่ถูกสร้างขึ้นมาเป็นพิเศษทำให้รันโค้ดได้ภายในแซนด์บ็อกซ์ของเบราว์เซอร์ นับเป็น zero-day ของ Chrome ตัวที่ 7 ที่ถูกใช้โจมตีจริงในปีนี้ รอบเดียวกันยังแก้ช่องโหว่ระดับร้ายแรงอีก 5 รายการใน WebGL และ Cast และ CISA เพิ่มรหัสนี้เข้าแคตตาล็อก KEV พร้อมเส้นตาย 23 กันยายน 2569

Google ปล่อยอัปเดตความปลอดภัยปิดช่องโหว่ 12 รายการในเบราว์เซอร์ Chrome รวมถึง CVE-2026-85046 คะแนน CVSS 8.8 ซึ่งเป็นบั๊กประเภท type confusion ในเอนจิน V8 ที่ถูกนำไปใช้โจมตีจริงแล้ว ผู้โจมตีจากระยะไกลสามารถรันโค้ดตามอำเภอใจภายในแซนด์บ็อกซ์ผ่านหน้าเว็บ HTML ที่ปั้นขึ้นมาเป็นพิเศษ นับเป็น zero-day ตัวที่หกของ Chrome ที่ถูกโจมตีจริงในปีนี้ และ CISA ได้เพิ่มเข้าแคตตาล็อก KEV โดยกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางแพตช์ภายในวันที่ 18 กันยายน 2569

Google เปิดตัว Gemini 3.8 Flash Cyber พร้อมโครงการ Fairwind ที่ให้ผู้ป้องกันลำดับความสำคัญสูงเข้าถึงโมเดลก่อนใคร ขณะที่ Anthropic ออก Claude Fable 5.1 และ Mythos 5.1 พร้อมมาตรการ Enterprise Frontier Safeguards และระงับการประเมินภายนอกของโมเดลก่อนปล่อยหลังเกิดเหตุเข้าถึงระบบจริงโดยไม่ได้รับอนุญาต ด้าน OpenAI ระบุว่าโมเดล Astra ผ่านเกณฑ์ความสามารถไซเบอร์ระดับ Critical ตามกรอบ Preparedness Framework แล้ว โดยพบและใช้ช่องโหว่ 0-day สองรายการต่อเนื่องกันได้เองระหว่างการทดสอบ

Google ปล่อยอัปเดต Chrome 151 ชุดใหม่ปิดช่องโหว่ระดับวิกฤตและระดับสูงรวม 41 รายการ ในจำนวนนี้เป็นระดับวิกฤต 6 รายการ ประกอบด้วย use-after-free 5 จุดในคอมโพเนนต์ WebGL, Aura, Skia และ Views กับช่องโหว่เขียนข้อมูลนอกขอบเขตในเอนจินกราฟิก ANGLE อีกหนึ่งจุด ส่วนที่เหลืออีก 35 รายการเป็นระดับสูง โดยกว่าครึ่งเป็นบั๊กความปลอดภัยหน่วยความจำที่อาจนำไปสู่การรันโค้ดตามอำเภอใจ Google ไม่ได้ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีจริง

ทีม Unit 42 ของ Palo Alto Networks เปิดเผยเทคนิคโจมตี 3 รูปแบบต่อ Google Password Manager บน Chrome ที่ทำให้มัลแวร์สิทธิ์ผู้ใช้ทั่วไปเข้าสู่บัญชีที่ป้องกันด้วย passkey ได้โดยไม่ต้องสแกนนิ้วหรือใส่ PIN เทคนิคที่รุนแรงที่สุดคือการดึงกุญแจหลัก Security Domain Secret ขนาด 32 ไบต์ออกจากหน่วยความจำของ Chrome ทั้งสามเส้นทางไม่ได้เจาะตัวการเข้ารหัส แต่เจาะโค้ดรอบ ๆ passkey รายงานไม่มีหมายเลข CVE และยังไม่ยืนยันว่าปิดช่องครบแล้ว ทุกเส้นทางต้องมีมัลแวร์รันอยู่บนเครื่องเหยื่อก่อน

Google กำลังพัฒนากลไกใหม่ใน Chrome ที่จะบล็อกส่วนขยายซึ่งถูกติดตั้งผ่านนโยบายองค์กรไม่ให้เข้ายึดหน้า New Tab หรือเปลี่ยนเครื่องมือค้นหาเริ่มต้นบนเครื่องที่ไม่ได้อยู่ใต้การบริหารจัดการจริง ต้นเหตุคือมัลแวร์เขียนคีย์นโยบายลงเครื่องผู้ใช้แล้วบังคับติดตั้งส่วนขยายที่ผู้ใช้ลบไม่ได้ พร้อมขึ้นข้อความ Managed by your organization ทั้งที่ไม่มีองค์กรใดดูแล กลไกใหม่จะยกเลิกการติดตั้งและจำรหัสส่วนขยายที่ถูกบล็อกไว้ ขณะนี้โค้ดยังอยู่ระหว่างตรวจทานใน Chromium Gerrit จึงยังไม่มีใน Chrome รุ่นเสถียร

บริษัท Google เปิดตัววิธีกู้บัญชีแบบใหม่ ให้ผู้ใช้อัดวิดีโอเซลฟีไว้ล่วงหน้าเพื่อยืนยันตัวตนเมื่อถูกล็อกออกจากบัญชี ระบบจะเทียบวิดีโอที่อัดใหม่กับที่บันทึกไว้ ฟีเจอร์นี้เป็นแบบสมัครใจ ลบได้ตลอดเวลา และเข้ารหัสขณะจัดเก็บ แต่ไม่รองรับบัญชี Workspace บัญชีเด็ก และบัญชี Advanced Protection พร้อมกันนี้ Google ยังเปิดระบบยืนยันตัวตนด้วยท่าทางมือแทน reCAPTCHA แบบเดิม

คณะกรรมาธิการยุโรปสั่งปรับบริษัท Google เป็นเงิน 890 ล้านยูโร (ราว 1 พันล้านดอลลาร์) ฐานละเมิดกฎหมาย Digital Markets Act โดยเอื้อประโยชน์ให้บริการของตนเองในผลการค้นหา Google Search เหนือคู่แข่ง และกีดกันไม่ให้นักพัฒนาแอปสื่อสารข้อเสนอราคาที่ถูกกว่าใน Play Store อียูสั่งให้ยุติการละเมิดภายใน 60 วัน มิเช่นนั้นเสี่ยงถูกปรับสูงสุด 5% ของรายได้ทั่วโลกต่อวัน สะท้อนท่าทีบังคับใช้กฎหมายควบคุมบริษัทเทคโนโลยียักษ์ใหญ่ที่เข้มข้นขึ้น